Domain fronting bukan VPN: dua nama, satu permintaan
Dua nama dalam satu permintaan HTTPS bukan terowong. Fronting bergantung pada peraturan penghalaan penyedia; VPN memilih paket mana yang bergerak. Lukiskan kedua-duanya secara berasingan.
Kedua-dua teknik ini difailkan bersama kerana kedua-duanya melibatkan perantara dan kedua-duanya kedengaran seperti penyembunyian. Kedua-duanya beroperasi pada objek yang berbeza. Domain fronting adalah tentang nama mana yang muncul pada lapisan mana dalam satu permintaan HTTPS. VPN adalah tentang paket mana yang melalui laluan tertentu ke rakan sebaya. Memanggil fronting sebagai sejenis VPN membawa kepada reka bentuk yang tidak dapat berfungsi, dan kepada semakan yang bertanya soalan yang salah.
Dua nama, dua lapisan
Sambungan TLS boleh membawa nama pelayan dalam jabat tangan nya. Setelah sambungan wujud, permintaan HTTP mengenal pasti pihak berkuasa yang dikehendakinya, biasanya dalam pengepala Host. Itu dua medan yang dibaca pada dua saat berbeza oleh dua bahagian perisian berbeza.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain fronting mengeksploitasi perbezaan antara dua yang pertama supaya perkhidmatan fronting menerima sambungan dan kemudian menghalakan permintaan ke tempat lain. Ia hanya berfungsi di tempat perkhidmatan itu bersedia menghalakannya, yang merupakan soal dasar penyedia dan bukan helah protokol.
Fronting bergantung pada penyedia, bukan pada teknik
Sebagai contoh terbatas, Soalan lazim Front Door Azure mendokumenkan perlindungan terhadap domain fronting. Ia menerangkan ketidakpadanan yang dibenarkan untuk domain dalam langganan yang sama dan laluan yang dikonfigurasikan, serta respons 421 Misdirected Request apabila perlindungan ketidakpadanan menyekat permintaan.
Dasar tunggal yang didokumenkan itu meruntuhkan kedua-dua cogan kata sekali gus. Bukan setiap pasangan nama berbeza berfungsi, dan bukan setiap ketidakpadanan dilarang. Perkhidmatan lain mempunyai semakan mereka sendiri, keperluan penggunaan mereka sendiri dan kod ralat mereka sendiri.
Ia juga bukan arahan untuk memintas sekatan rangkaian lain. Membaca peraturan penghalaan penyedia untuk memahami apa yang dibenarkannya ialah kerja seni bina; menganggap peraturan itu sebagai resipi pemintasan ialah aktiviti lain dengan akibat lain. Asingkan kedua-dua aktiviti itu dalam dokumen yang anda tulis. Yang kedua itulah yang menyebabkan sesuatu reka bentuk ditolak dalam semakan.
Apa yang sebenarnya dipilih oleh VPN
Dalam VPN rangkaian, penghalaan dan dasar platform memilih trafik dalaman untuk terowong ke rakan sebaya. Bergantung pada susunan, itu boleh meliputi beberapa aplikasi atau subset yang ditentukan, dan ia boleh membawa protokol yang langsung tidak mempunyai permintaan HTTP.
Fronting tidak melakukan semua itu. Mengatur satu permintaan HTTPS melalui perkhidmatan fronting tidak memasang laluan rangkaian peribadi, tidak membawa aplikasi UDP sewenang-wenangnya dan tidak membuat setiap program pada peranti menggunakan perkhidmatan itu. Jika anda memerlukan liputan itu, anda memerlukan proksi atau terowong, bukan helah penamaan.
Itulah sebabnya kedua-duanya dikelirukan dalam semakan: kedua-duanya digambarkan sebagai perantara, dan kedua-duanya muncul dalam dokumen tentang akses. Antara muka yang ditawarkan oleh setiap satu sama sekali berbeza, dan hanya satu daripadanya ialah laluan rangkaian.
Keterlihatan bukan binari
Perbandingan itu juga bukan sekadar tersembunyi berbanding terlihat. Pertanyaan DNS, alamat destinasi, ciri jabat tangan, saiz paket dan pemasa semuanya kekal boleh diperhatikan oleh sesiapa yang berada dalam kedudukan untuk melihatnya, dan apa yang dipelajari pemerhati itu bergantung pada di mana ia duduk.
Data aplikasi juga kelihatan pada titik akhir yang menamatkannya. Perkhidmatan fronting yang menghalakan permintaan anda ialah salah satu titik akhir itu, dan rakan sebaya VPN ialah satu lagi. Tiada satu pun daripada kedua-dua susunan itu menjadikan kandungan legap kepada pihak yang perlu membacanya untuk melayani anda.
Lukis tiga kotak
Untuk semakan seni bina, lukis titik akhir TLS, perkhidmatan penghalaan HTTP dan aplikasi akhir sebagai tiga kotak berasingan, kemudian lukis mana-mana rakan sebaya VPN di tempat lain pula. Tempat yang memilih destinasi web dan tempat yang mengangkut paket rangkaian peribadi tidak perlu menjadi sistem yang sama, dan biasanya bukan.
Setelah kotak itu berasingan, soalan menjadi boleh dijawab: nama mana yang diterima oleh penyedia ini, protokol mana yang memerlukan pengangkutan, dan pihak mana yang dapat melihat apa. Rajah yang menggabungkannya menghasilkan reka bentuk yang tiada siapa dapat melaksanakan dan semakan yang bertengkar tentang perbendaharaan kata.